L’autorité autrichienne de protection des données (DSB) a déclaré que le pixel de suivi Facebook ne doit pas être utilisé pour suivre les utilisateurs sur les sites Web de l’UE, car il viole le règlement général sur la protection des données (RGPD). Grâce à la technologie de suivi, les informations personnelles des utilisateurs sont transmises au siège de la société mère de Facebook aux États-Unis, ce qui viole l’article 44 du RGPD. La décision s’applique également à Facebook Login et Meta Pixel, qui sont basés sur la même approche de suivi.
Cette annonce intervient en réponse à un procès modèle intenté par l’association Noyb, dirigée par l’avocat et militant Max Schrems, en août 2020. L’ORD a également constaté que les clauses contractuelles types signées avec Facebook n’offrent pas une protection suffisante contre l’accès par les agences de renseignement américaines et le FBI, rendant les clauses nulles.
Des décisions similaires ont été prises par le passé concernant les opérateurs de sites Web dans l’UE utilisant Google Analytics. Les deux décisions sont basées sur l’arrêt “Schrems II” de la Cour européenne de justice, qui a déclaré invalide le “Privacy Shield” transatlantique. Pour cette raison, Noyb décourage les administrateurs de sites Web d’implémenter des outils de Facebook sur leurs pages d’accueil.
De nombreux opérateurs de sites Web de l’UE utilisent des pixels Facebook pour suivre les utilisateurs et afficher des publicités personnalisées. Cette décision est donc pertinente pour presque tous les sites Web de l’UE. La Commission européenne travaille sur un nouvel accord pour les transferts de données transatlantiques, mais la législation américaine autorise toujours la surveillance de masse, ce qui rend peu probable une solution complète.
Au total, Noyb a déposé plus de 100 plaintes similaires dans presque tous les pays de l’UE, et d’autres décisions de ce type sont attendues à l’avenir. Cependant, Noyb affirme qu’aucune autorité de régulation n’a imposé de sanctions dans ces litiges, bien que les entreprises impliquées aient ignoré la jurisprudence pertinente de la CJE pendant plus de deux ans.
